ChatGPT незаметно передаёт данные между коннекторами — а за сообщение об уязвимости требуют паспорт
ChatGPT silently passes data between connectors and the bounty wants an ID card
Разработчик обнаружил, что при включённых двух коннекторах ChatGPT выполняет follow-up вызов инструмента через другой коннектор, не сообщая об этом пользователю. Одноразовый код подтверждения, выданный виджетом коннектора A, уходит в коннектор B — то есть данные одной программы передаются другой без согласия. Сервер отклонил вызов благодаря привязке к OAuth-клиенту, но при стороннем коннекторе с общим MCP URL утечка реальна. Попытка сообщить об этом через bug bounty упёрлась в требование предоставить биометрию и удостоверение личности.
Я попытался раскрыть проблему через их программу bug bounty. Но они требуют предоставить мои личные данные, такие как биометрическая идентификация и удостоверение личности, заранее и третьей стороне, к которой я не имею отношения, прежде чем я смогу отправить отчёт.
- simonw
Я предполагал, что требование ID связано с соблюдением санкций — OpenAI не может легально отправить деньги кому-то в Северной Корее, например.
Но https://docs.bugcrowd.com/researchers/managing-account/accou... говорит:
> Чтобы повысить целостность платформы за счёт снижения большого количества некачественных заявок, проверка личности (IDV) теперь обязательна для всех исследователей перед отправкой отчётов в программы Managed Bug Bounty (MBB) (публичные и частные, за исключением MBB по запросу).
- kristjansson
Это похоже на фундаментальное непонимание или переоценку гарантий, которые могут предоставить OAI и MCP. Если «подтверждение» — это отдельный вызов инструмента... то это отдельный вызов инструмента. Здесь нет никакого ограничения области видимости, нет «привязки», ничего. Когда вы передаёте управление обратно модели, вы передаёте управление обратно модели.
- jonstewart
Баунти не испытывают желания.
- orf
Почему «techsoft.ye» почувствовал необходимость ответить длинным комментарием от LLM, который не содержал вообще ничего полезного?
- cluckindan
Отчёт об ошибке от Claude и ответ от Claude… к чему мир катится